Le hacker de Kelp DAO déplace 175M en ETH après le vol du bridge rsETH ; Arbitrum gèle 71M

Le pirate de Kelp DAO a exploité une faille d’un bridge propulsé par LayerZero pour voler 116 500 rsETH (environ 292 M$, ~18% de l’offre en circulation). Après la mise en pause de contrats clés, l’attaquant a déposé les rsETH volés en garantie sur Aave V3 et emprunté environ 196 M$ en WETH, augmentant immédiatement le risque de créances douteuses sur Aave. Le Security Council d’Arbitrum a ensuite gelé 30 766 ETH (~71 M$) dans un portefeuille intermédiaire contrôlé par la gouvernance. Toutefois, la surveillance on‑chain (Arkham) montre que le pirate de Kelp DAO a continué à déplacer des fonds. En quelques heures, il aurait transféré l’intégralité des ~75 701 ETH (environ 175 M$) vers le réseau principal Ethereum et commencé à blanchir les fonds, le gel couvrant moins de 30% de l’ETH volé. L’impact sur le marché a été rapide : Aave a enregistré un outflow de dépôts rapporté à 8,45 Md$ et le token AAVE a chuté d’environ 20%. rsETH est également retombé d’un pic supérieur à 2 Md$ à environ 1,3 Md$ après une tentative de reprise avortée, cohérente avec des liquidations forcées. Le problème plus large reste non résolu : LayerZero a pointé du doigt la conception « single‑verifier » (1‑of‑1 DVN) comme un risque de défaillance du bridge, tandis que Kelp DAO affirme que la configuration correspond aux paramètres par défaut documentés de LayerZero et que la stack de validateurs compromise faisait partie de l’infrastructure LayerZero. Pour les traders, le principal risque est que les mouvements rapides de fonds par le pirate de Kelp DAO, combinés à une couverture de gel partielle, puissent intensifier un comportement risk‑off autour des collatéraux cross‑protocol, en particulier pour les actifs liés au restaking comme rsETH.